makin

Criei o makin para tornar a avaliação inicial de malware um pouco mais fácil para mim, acho que é útil para outros também. Ele ajuda a revelar técnicas de detecção de depurador usadas por uma amostra.

Qualquer feedback é muito apreciado: @_qaz_qaz

Como funciona?

makin abre uma amostra como debuggee e injeta asho.dll (o módulo principal renomeia todas as dlls antes da injeção). asho.dll intercepta várias funções nas bibliotecas ntdll.dll e kernelbase.dll e, após verificações de parâmetros, envia a mensagem correspondente para o depurador (makin.exe).

makin também gera um script para o IDA Pro definir pontos de interrupção nas APIs detectadas.

Neste momento, makin pode revelar as seguintes técnicas:

ntdll.dll:

• NtClose - ref: The "Ultimate" Anti-Debugging Reference: 7.B.ii
• NtOpenProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.B.i
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open itself)
• NtCreateFile - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iii (Open a driver)
• LdrLoadDll - ref: The "Ultimate" Anti-Debugging Reference: 7.B.iv
• NtSetDebugFilterState - ref: The "Ultimate" Anti-Debugging Reference: 7.D.vi
• NtQueryInformationProcess - ref: The "Ultimate" Anti-Debugging Reference: 7.D.viii.a, 7.D.viii.b, 7.D.viii.c
• NtQuerySystemInformation - ref:

kernelbase.dll:

• IsDebuggerPresent - ref: MSDN
• CheckRemoteDebuggerPresent - ref: MSDN
• SetUnhandledExceptionFilter - ref: The "Ultimate" Anti-Debugging Reference: D.xv
• RegOpenKeyExInternalW - verifica chaves de registro
• RegQueryValueExW - verifica valores de chaves de registro

Você pode adicionar mais verificações de VM editando o arquivo checks.json, sem modificar o executável.

Isso é tudo por enquanto, você pode adicionar quanto quiser :)

Terceiros

• Zydis (MIT License)
• JSON for Modern C++ (MIT License)

DEMO: